Mi empresa sufrió una brecha y debo notificar a la SIC

¿Tienes razón?

Lo que determina si debes notificar es el tipo de datos comprometidos y el nivel de riesgo para los titulares. No todas las incidencias exigen notificación pública; algunas se consideran incidentes técnicos con bajo riesgo y se manejan internamente. Cuatro elementos clave establecen la diferencia: la categoría de datos (por ejemplo, identificadores simples frente a datos sensibles), la cantidad de titulares afectados, la posibilidad de uso indebido de los datos por terceros y la dificultad de mitigar los daños con medidas técnicas. Otra consideración es el origen: si la brecha se debe a un tercero proveedor, tu responsabilidad como responsable sigue vigente si no supervisaste adecuadamente las medidas contractuales y técnicas.

Además, importa la documentación: si puedes demostrar que aplicaste cifrado efectivo o que los datos estaban anonimizados, el riesgo puede considerarse menor. Pero la mera afirmación no basta; necesitas pruebas técnicas y registros de auditoría. Finalmente, si la brecha afecta a servicios críticos, clientes corporativos o menores, la expectativa regulatoria y de reputación es mayor.

Cómo se soluciona

1) Contén y documenta. Corta accesos comprometidos, preserva imágenes forenses de sistemas y guarda logs de red. Documenta cronología: cuándo detectaste, qué acciones se tomaron y quién autorizó cada paso.

2) Evalúa alcance y riesgo. Identifica qué datos fueron expuestos, cuántos titulares y la probabilidad de daño (fraude, suplantación, discriminación). Si no hay capacidad interna, contrata peritaje forense.

3) Notifica a las personas afectadas si el riesgo no puede mitigarse sólo con medidas técnicas. La notificación debe explicar de forma clara qué ocurrió, qué datos se vieron afectados, qué medidas ofreces para mitigar y cómo pueden ejercer derechos. Mantén un canal para consultas.

4) Valora la notificación a la autoridad competente (por ejemplo, INAI u otra autoridad sectorial). Si el incidente supera umbrales de riesgo o afecta a un gran número de titulares o datos sensibles, la ley o la guía de la autoridad pueden exigir informe. Guarda la comunicación enviada y las respuestas.

5) Repara y previene. Implementa correcciones técnicas (parches, rotación de claves, cambios en permisos), revisa contratos con terceros, mejora cifrado y política de backups. Documenta el plan de mejora y su ejecución.

6) Transparencia y comunicación. Prepara un comunicado para clientes y socios que no reitere detalles técnicos que faciliten explotación, pero sea honesto sobre el impacto y las medidas.

Qué puede hacer la empresa por sí sola y qué requiere experto: la contención inmediata y ciertas configuraciones técnicas puede hacerlas tu equipo de TI; la preservación forense y la comunicación formal a la autoridad y los titulares suelen necesitar apoyo técnico-legal.

Qué puede pasar

1) Se arregla con medidas internas y notificación a afectados: si el riesgo se mitiga y se comunica adecuadamente, la reputación se salva en muchos casos y no hay sanción.

2) Acuerdo o diligencia con la autoridad: la autoridad puede abrir investigación y solicitar medidas correctivas. A veces se negocia un plan de cumplimiento que evita sanción mayor si la empresa colabora y remedia.

3) Procedimiento administrativo o sanción: si hubo negligencia grave, inexistencia de medidas mínimas o falta de cooperación, la autoridad podría imponer sanciones y ordenar medidas. Además, pueden iniciarse demandas civiles por daños.

Y si ganas, ¿cobras? La resolución administrativa no implica siempre reparación económica para titulares; para obtener compensaciones hay que litigar ante tribunales civiles y probar el daño y la responsabilidad del responsable.

Errores que arruinan el caso

• No preservar evidencias: formatear discos o sobrescribir logs elimina la posibilidad de demostrar la cronología.
• Minimizar públicamente sin pruebas: restar importancia puede complicar la relación con la autoridad y con clientes.
• No revisar proveedores: muchas brechas vienen por terceros con permisos demasiado amplios.
• No cifrar datos sensibles en reposo y tránsito.
• Enviar notificaciones técnicas que expliquen vulnerabilidades explotables en vez de medidas de protección.